Skrócony przewodnik Windows Live Response (QRG)

Jeśli podejrzewasz, że system Windows może zostać naruszony, zapoznaj się z tym QRG, aby wdrożyć gromadzenie danych w czasie rzeczywistym.

Wprowadzenie: Wykonaj kroki opisane w tym QRG natychmiast po podejrzeniu naruszenia bezpieczeństwa systemu. Ten QRG przeprowadzi Cię przez kolejne etapy zbierania danych na żywo. Oprócz poniższych kroków ogranicz użycie w zaatakowanym systemie, ponieważ spowoduje to modyfikację jego danych.

Wymagania wstępne: Ten QRG jest przeznaczony do uruchamiania na dowolnym komputerze z systemem Windows z programem CMD.exe bez uprawnień administracyjnych. Konieczne jest posiadanie pustego dysku zewnętrznego o pojemności co najmniej 64 gigabajtów lub większej, gotowego do reagowania na incydenty.

• Na zaatakowanej stacji roboczej użyj notebooka do zapisania bieżącej daty i godziny, nazwy użytkownika stacji roboczej oraz dowolnej możliwej do zaobserwowania nazwy/numeru komputera na stacji roboczej.
• Włóż gotowy do użycia dysk zewnętrzny do zaatakowanej stacji roboczej i zidentyfikuj przypisaną mu literę dysku, przechodząc do „Mój komputer” lub „Ten komputer”, w zależności od wersji systemu Windows.
• Otwórz menu Start, wyszukaj wiersz polecenia (CMD) i uruchom go.

1. W CMD pobierz {System Date}, {Time} i {Time Zone} i wyeksportuj je na dysk zewnętrzny (gdzie „E” oznacza literę dysku w kodzie): Wpisz: > echo %date% %
   time % > E:\date_time.txt
   Następnie: > echo & tzutil /g >> E:date_time.txt
2. Pobierz {Informacje o systemie}: > informacje o systemie > E:system_info.txt
3. Pobierz {Running Processes} i {Services}:
   > tasklist /v > E:running_processes_service.txt
4. Pobierz wszystkie {Aktywne połączenia TCP} i {Porty TCP i UDP, na których nasłuchuje komputer}:
   > netstat -a > E:tcp_connections_open_ports.txt
5. Pobierz {tabelę tras}: > trasa drukuj | więcej > E:routing_table.txt
6. Pobierz {ARP Cache}: > arp -a > E:arp_cache.txt
7. Pobierz {Net Bios Over TCP/IP} (pamięć podręczna i nazwy lokalne): > nbtstat -cn > E:netbios.txt
8. Pobierz {pamięć podręczną DNS}: > ipconfig /displaydns > E:dns_cache.txt
9. Odzyskaj {sesje logowania} (gdy system był włączony): > logowanie wmic > E:logon_sessions.txt
10. Pobierz {Adresy interfejsu IP}: > ipconfig /all > E:interface_ip_addresses.txt
11. Pobierz {zainstalowane sterowniki}: > driverquery > E:installed_drivers.txt
12. Pobierz {Zaplanowane zadania}: > schtasks > E:scheduled_tasks.txt
13. Zamknij CMD i wysuń dysk wymienny.